Viki

Wellness & Lifestyle Intelligence ja GDPR: õiguslik raamistik

Portaal toetab eluviisi, mitte ei pane diagnoose ega määra ravi. Terviseandmeid töödeldakse GDPR-i järgi — külalise selgesõnalise nõusoleku alusel ja EL-is asuvas serveris.

Updated 2026-08-28 · Sample procedures Luxury Spa & Medical Wellness Hotel Prezident

Lühidalt

• Klass. Wellness & Lifestyle Intelligence toetab eluviisi: portaal kogub kellast ja kaalust tulevad näidud, näitab neid külalisele ja arstile ning hoiab alles arsti määrangud. Diagnoose see ei pane ega ravi ei määra.
• Kes andmete eest vastutab. Vastutav töötleja on hotell: portaali teates on nimetatud juriidiline isik, registrinumbrid, aadress ja arst nimepidi. longev.eu on volitatud töötleja: tema hoiab koodi ja serverit.
• Igal hotellil on oma andmebaas. Kood on üks, aga igal hotellil on oma protsess, oma kataloog ja oma andmebaas. Kõigi hotellide külaliste ühist tabelit ei ole.
• Nõusolekuid on kaks. Üldine nõusolek antakse registreerimisel, terviseandmete selgesõnaline nõusolek enne küsimustikku. Mõlemad salvestatakse koos teate versiooninumbriga: praegu on see versioon 1.7, kuupäevaga 17.08.2026, 12 jaotist 36 keeles.
• Õigused on nuppudena olemas. Kõigi andmete eksport ühe failina, HL7 FHIR eksport kliiniku süsteemi jaoks, nõusoleku tagasivõtmine koos kustutamisega, konto kustutamine. Ilma hotellile kirjutamata ja ootamata.
• Mis läheb EL-ist välja. Kolm asja, ja kõik kolm on otse välja öeldud: sisselogimine Google kaudu, laenatud kella taga olev Garmini pilv ja mudelile antud isikustamata tekst.
• Tähtajad. Terviseandmed — 3 aastat pärast viimast tegevust, serverilogid — kuni 90 päeva, parooli vahetamise link — 60 minutit.
• Kellele see dokument on. Hotellile, kes valib platvormi, ja külalisele, kes tahab teada, mis tema näitudest sai. Uuendatud 23.08.2026.

Mida tähendab Wellness & Lifestyle Intelligence

Wellness & Lifestyle Intelligence on tooteklass, mis toetab eluviisi: und, liikumist, vett, toitu ja hotelli protseduure. See töötab samade näitudega nagu meditsiin, kuid ei väida meditsiinilist eesmärki ega luba ravitulemust.

Portaal teeb järgmist: võtab kellast ööpäevased seisundid ja kaalust kaalumised, võrdleb neid külalise enda keskmisega, näitab pilti külalisele tema kontol ja arstile armatuurlaual ning hoiab ja kuvab arsti määranguid.

Mida see kunagi ei tee: ei nimeta haigust, ei määra ei ravimit ega dieeti, ei tühista ega asenda arsti määrangut ega luba, et protseduur midagi välja ravib.

Vahe tuleb välja seal, kus algoritm puudutab plaani. Tasuta ja oma asju — terviserada, majutuse hulka kuuluvat sauna — muudab portaal ise. Tasulise protseduuri puhul teeb see ainult ümbertõstmise ettepaneku ja otsustab arst (kuidas see töötab).

Kus jookseb piir meditsiiniseadmega

Programmist ei tee meditsiiniseadet mitte algoritmi keerukus, vaid eesmärk, mille tootja sellele annab: diagnoosimine, ennetamine, jälgimine, ennustamine, prognoosimine, ravi või haiguse leevendamine (määrus (EL) 2017/745 meditsiiniseadmete kohta, artikkel 2). Portaal sellist eesmärki ei väida — ja see ei ole deklaratsioon, vaid 3 kohta tootes endas:

• Küsimustikust saadud riskitase valib terviseraja ja pulsivahemiku, mitte diagnoosi. Sellel ei ole õiguslikke tagajärgi ja arst saab selle üle määrata.
• Joogikuuri määrab hotelli peaarst pärast läbivaatust. Portaal hoiab selle alles, näitab seda ja tuletab võtmist meelde — ise seda määrata ta ei saa (lähemalt).
• Öine tsükkel tõstab protseduuri ümber, mitte ei ravi. Läved, mille järgi see seda teeb, on arstide määratud ja avalikud (numbrid ja reeglid).

Kell on tarbijaseade

Hotelli komplekt on tavaline Garmin Forerunner 165 Music ja Garmin Index S2 kaal, ostetud poest. Nende meditsiinilisi funktsioone portaal ei kasuta: Garmin lülitab EKG rakenduse sisse ainult seal, kus see on heaks kiidetud meditsiiniseadmena, ja teisest riigist ostetud kellal ei pruugi seda üldse olla.

Pulss, selle varieeruvus, unefaasid, hingamine ja vere hapnikusisaldus on randmel oleva tarbeotstarbelise optilise anduri näidud. Portaal esitab neid samamoodi: külalise enda keha dünaamikana, mitte analüüsi tulemusena (mida kell tegelikult mõõdab).

Klassifikatsiooni ei hoia paigas mitte rida dokumendis, vaid lubadused. Hotelli turundus, mis ütleb «paneme diagnoosi kella järgi» või «ravime nädalaga terveks», lõhub selle raami kiiremini kui ükski muudatus koodis.

Kes mille eest vastutab

GDPR-i rollid jagunevad nii, ja see jaotus on tähtsam kui ükskõik millised sõnad partnerluse kohta: külalise ja järelevalveasutuse ees vastutab hotell.

Miks igal hotellil on oma andmebaas

Platvorm ei ole tavapärases mõttes mitmerendiline: eri hotellide külalisi ei eralda ühises tabelis üks veerg. Igal hotellil on serveris oma protsess, oma kataloog ja oma andmebaas, aga kood on kõigil sama.

Erinevus on praktiline. Päringu viga ei saa näidata ühele hotellile teise hotelli külalisi, sest neid lihtsalt ei ole tema andmebaasis. Hotell, mis lahkub, võtab kaasa kogu oma faili, mitte väljavõtet ühisest hoidlast.

Kaks nõusolekut ja teate versioon

Terviseandmed on eriliigilised andmed (GDPR artikkel 9) ja nende jaoks ei piisa juriidiliselt sellest, kui registreerimisel vajutada «Nõustun tingimustega». Seepärast on nõusolekuid kaks: üldine registreerimisel ja eraldi selgesõnaline nõusolek terviseandmete töötlemiseks enne ankeeti.

Järjekorda hoiab server, mitte kasutajaliides: kui teadet ei ole veel vastu võetud, lükatakse teise nõusoleku päring tagasi.

Mõlemad nõusolekud salvestatakse koos teate versiooninumbriga ja ajaga. Versioon suureneb siis, kui muutub sisu, mitte kirjaviga, ja siis küsib portaal kõigilt uuesti aknaga, mis avaneb iga ekraani peale.

Nii on juba juhtunud 3 korda: versioon 1.5 lisas tuppa kaalu ja kehakoostise, 1.6 nimetas AI-mudeli ja 3 andmete väljumist EMP-st, 1.7 toidupäeviku ja taldrikupildi. Iga kord küsiti külalistelt uuesti.

Portaali privaatsusteade on hotelli omast eraldi ja katab ainult portaali: kontot, ankeeti, terviseradu ja kella. Toa broneerimine ja hotelli uudiskiri kuuluvad hotelli enda privaatsusteate alla.

×

Külalise õigused käivad nuppudega, mitte kirjaga

Õigus, mis on küll lubatud, aga mida saab kasutada ainult hotelli kirjutades, jääb tegelikult kasutamata. Seepärast on lehel «Konto» plokk «Minu andmed» ja selles 4 nuppu.

• Eksport — kõik, mida portaal külalise kohta hoiab, ühes masinloetavas failis: ankeedid, terviserajad koos rajapunktidega, ööd, testid, määrangud ja profiil (artikkel 20 — andmete ülekandmise õigus).
• HL7 FHIR eksport — samad arvud meditsiinisüsteemide keeles, vormingus FHIR R4: patsient ja vaatlused. Sellist faili loeb kliiniku süsteem, mitte ainult inimene.
• Nõusoleku tagasivõtmine — vaikimisi koos kustutamisega: pärast nõusoleku tagasivõtmist ei oleks enam alust terviseandmeid hoida.
• Konto kustutamine (artikkel 17) — kinnitusega: külaline sisestab oma e-posti aadressi, muidu nupp ei toimi.

×

Mida need nupud ei tee

Töötaja kontot nende nuppudega kustutada ei saa. Arsti allkirja all on teiste inimeste määrangud ja hommikused lehed, seega eemaldab sellise konto administraator, et allkiri vaikselt küljest ei kaoks.

Kustutamise kaks sügavust ja see, mis kustutamise üle elab, on lahti seletatud artiklis Isikuandmed: seal on ka kirjas, miks komplektide väljastamise logi jääb alles, aga personali märkmed külalise kohta lähevad ära.

Kus andmed asuvad ja mis läheb välja

Server asub Euroopa Liidus; andmekeskuse riik on nimetatud konkreetse hotelli teatises. Andmed lahkuvad sealt täpselt 3 juhul ja kõik 3 on teatises nimeliselt kirjas:

• Google'iga sisselogimine — ainult siis, kui külaline ise selle tee valis, ja ainult sisselogimiseks vajalik: e-posti aadress, nimi ja konto tunnus. Google'i parool portaali kätte ei jõua kunagi.
• Garmini pilv — välja antud kell sünkroonitakse Garmini kontole, mis kuulub hotellile ja kannab külalise nime asemel komplekti numbrit; Garmini serverid asuvad USAs. Alus on kellale antud selgesõnaline nõusolek (artikkel 49(1)(a)).
• Mudeli teenusepakkuja — isikustamata hommikune leht (vanus, sugu ja arvud, ilma nime, sünnikuupäeva ja e-posti aadressita), arsti sõnum, mis tuleb tõlkida sõna-sõnalt, ja taldrikupilt, kui külaline ise vajutas kaamerat.

Ja üks asi, mida me kustutada ei saa

Portaalis ei ole reklaame ega analüütikaloendureid. Külalise brauser hoiab ainult seansi tokenit ja valitud keelt.

Garmini konto päevast ajalugu aga kustutada ei saa: Garmin sellist võimalust ei anna. Need päevad jäävad Garminile tema enda tingimuste järgi ka pärast seda, kui meie koopia on kustutatud. Portaal loeb selliselt kontolt ainult selle peatumise päevi, mille ajal oli komplekt külalise käes — aga ausam on see välja öelda kui vaikida.

Kui kaua andmeid hoitakse

Igal andmeliigil on oma tähtaeg ja kustutamine tähendab siin ridade eemaldamist andmebaasist, mitte nende peitmist vaates.

Üks kirje elab külalise teadlikult üle — aktiivse peatumise arverida: selle konto viide nullitakse, nii et kuu mäletab, et peatumine oli olemas, aga ei nimeta enam kedagi (kuidas aktiivset külalist arvestatakse).

Mida mudel teeb ja mida ta ei otsusta

Osa portaali tekstidest sõnastab tehisintellekti mudel: hommikuse lehe sõnastuse, arsti sõnumi tõlke, terviseraja postkaardi tausta ja taldrikufoto põhjal antud kalorihinnangu.

See ei arvuta riskitaset, ei vali pulsitsooni ega muuda programmi — sellele antakse see, mille portaal on juba välja arvutanud. Portaalis ei ole üldse automatiseeritud otsust, millel oleks õiguslik tagajärg (GDPR artikkel 22).

Et tekst on kirjutatud mudeli abil, öeldakse külalisele poliitikas otse välja: seda nõuab EL-i tehisintellekti määruse artikkel 50.

Ja peamine kaitse on see: ükski isiklikku teksti sisaldav päring ei lähe välja enne, kui superadmin on kinnitanud, et teenusepakkujaga on sõlmitud andmetöötlusleping. Vaikimisi on lüliti väljas — vaikimine ei ole nõusolek. Tasuta pakett selleks ei sobi: teenusepakkuja enda tingimuste järgi õpib see saadetud andmete pealt.

Fotolt hinnatud kaloreid näitab portaal vahemikuna ja lubab parandada: see on pildi põhjal antud hinnang, mitte mõõtmine.

Mida keelab server, mitte liides

• Külalise vaates on ainult lugemine. Arst võib avada külalise konto, et näha täpselt sedasama, mida näeb külaline. Iga midagi muutev päring tõrjutakse sellises seansis tagasi juba rakenduse sissepääsus, enne töötlejat: lubadus, mida hoitakse igal marsruudil eraldi, kestab kuni esimese uue marsruudini.
• Iga sisselogimine salvestatakse. Kes personalist ja millal avas külalise konto, selle kohta jääb logisse rida. Administraatoril on sellises seansis muutmine lubatud ja selle hind öeldakse otse välja: muudatus läheb teele külalise nimel ning logi mäletab, kelle aknasse vaadata.
• Külaline pääseb ainult oma ridadeni. Rollide eristus on tehtud serveris, mitte peidetud menüüsse.
• Paroole ei säilitata. Andmebaasis on PBKDF2 räsi ja parooli vahetamise link ainult koodi SHA-256 kujul. Lekkinud andmebaas ei anna kätte kumbagi.
• Parooli vahetamine tühistab juba väljastatud võtmed. Igas tokenis on kirjas seansside põlvkond: parooli vahetamine, kõigist seadmetest väljalogimine või rolli muutmine tühistavad juba väljastatud võtmed ega oota, kuni need ise aeguvad.

Mida hotell teeb enne käivitamist

• Täita vastutava töötleja andmed. Kuni kasvõi üks väli on veel nurksulgudes, peab portaal poliitikat avaldamiskõlbmatuks ja hoiatab selle eest administraatori paneelis.
• Määrata andmepäringute kanal — ja kui andmekaitsespetsialist on määratud (artikkel 37), siis ka tema aadress. Määrus ei nõua spetsialisti nime avaldamist, küll aga nõuab ühenduse võtmise võimalust.
• Nimetada arst nimepidi. Külalisel, kes annab üle oma terviseandmed, on õigus teada, kes neid loeb, mitte leppida sõnastusega «kuurordiarst».
• Sõlmida andmetöötlusleping — platvormiga ja mudeli sisselülitamisel ka selle teenusepakkujaga. Kuni see pole kinnitatud, on lüliti väljas ja isiklikud tekstid ei lähe välja.
• Võrrelda turundust klassifikatsiooniga. Ravilubadus hotelli veebisaidil tõmbab maha raami «elustiili tugi».
• Pidada meeles vanusepiiri. Portaal on mõeldud täiskasvanutele; alla 16-aastasele inimesele kontot ei looda.
• Teada oma järelevalveasutust. See on poliitikas nimetatud koos aadressi ja veebisaidiga; Tšehhi puhul on see Úřad pro ochranu osobních údajů.

Küsimused ja vastused

• Kas portaal on meditsiiniseade? Ei. See ei väida meditsiinilist eesmärki: ei pane diagnoose, ei määra ravi ega luba ravitulemust. See kogub ja näitab numbreid, otsused teeb arst.
• Kes vastutab külalise ees — hotell või platvorm? Hotell: tema on vastutav töötleja. Platvorm on volitatud töötleja, kes töötab lepingu alusel ja hotelli juhiste järgi.
• Kas nõusolekut on vaja, kui külaline lihtsalt kannab kella? Jah. Päevased seisundid on terviseandmed, GDPR artikli 9 järgi eriliik. Portaal küsib nende jaoks eraldi selgesõnalise nõusoleku ja selle saab 1 klõpsuga tagasi võtta.
• Kas andmed liiguvad EList välja? Server on ELis. Välja liigub 3 asja ja kõik 3 on poliitikas nimetatud: sisselogimine Google’i kaudu, laenatud kella Garmini pilv ja mudelile antud isikustamata tekst.
• Kas mudel õpib külaliste andmetest? Ei. Kuni teenusepakkujaga sõlmitud andmetöötlusleping ei ole kinnitatud, isiklik tekst üldse välja ei lähe ning leping ise keelab taaskasutuse ja õpetamise.
• Mis jääb alles, kui külaline kustutab kõik? Andmebaasist kaovad ööd, terviserajad, määrangud, toidupäevik ja personali märkmed tema kohta. Alles jäävad hotelli enda kirjed enda kohta: komplektide väljastamise logi ja arverida, mis enam kedagi ei nimeta.

Allikad

Määrus (EL) 2016/679 — GDPR · Määrus (EL) 2017/745 meditsiiniseadmete kohta · Määrus (EL) 2024/1689 tehisintellekti kohta · Úřad pro ochranu osobních údajů

Edasi samal teemal

Isikuandmed: 2 nõusolekut, eksport ja kustutamine — samad õigused külalise vaates, nupp nupu järel.

Kuidas platvorm määrab protseduure — kus algoritm peatub ja arst alustab.

Hinnad: Setup, Base ja Active Guest — mida käivitamine sisaldab ja kuidas aktiivset külalist arvestatakse.

Mida kell mõõdab — millised arvud täpselt randmelt tulevad.

Vastuvõtt: töö rakendustega — miks komplekt enne järgmisele andmist tühjendatakse.

Portaali täielik poliitika on ilma sisse logimata avatud privaatsuse lehel.